Trong Windows Server 2003 hoặc Windows XP, bạn có thể dễ dàng lọc sự kiện trong Event Log Viewer hệ thống theo tài khoản user cụ thể nếu bạn nhập username mong muốn trong trường User của bộ lọc log. Nhưng trong Windows Server 2008 / Windows 7, cách đơn giản này tìm kiếm sự kiện liên quan đến user cụ thể không hoạt động.
Trong Windows Server 2008, không có trường User trong trình trình bày chuẩn của event log. Hãy thử thêm nó dùng tùy chọn menu View -> Add/Remove Columns.
Bây giờ cột User đã xuất hiện trong trình trình bày log, nhưng tên user khởi tạo sự kiện không hiển thị trong cột này. Chúng ta thấy N/A thay vào đó. Thông tin về tài khoản giờ nằm trong mô tả của chính sự kiện đó (trong giá trị Security ID và Account Name trong ví dụ này). Làm thế nào để lọc sự kiện trong log bây giờ?
Để lọc sự kiện theo username (hoặc bất kỳ thuộc tính sự kiện nào khác) trong Windows Server 2008 trở lên, bạn có thể dùng sửa đổi thủ công truy vấn XML (XPath).
Lưu ý. Trước đây việc dùng XPath tìm sự kiện cụ thể trong log đã được xem xét trong bài viết Running a Scheduled Task after another.
Vậy, mở log bạn cần trong Event View (trong trường hợp của chúng ta, đó là log Security) và chọn Filter Current Log… trong menu ngữ cảnh.
Đi đến tab XML và tích Edit query manually.
Copy và dán code sau cho phép chọn tất cả sự kiện của user cụ thể trong log (thay username bằng tên tài khoản bạn cần).
<QueryList>
<Query Id="0" Path="Security">
<Select Path="Security">* [EventData[Data[@Name='subjectUsername']='username']]</Select>
</Query>
</QueryList>Lưu thay đổi trong bộ lọc và nhìn vào log. Chỉ sự kiện liên quan đến tài khoản bạn chỉ định sẽ còn lại trong log.
Nếu bạn cần, ví dụ, thêm lọc sự kiện cho user và Event ID 4624 (An account was successfully logged on) và 4625 (An account failed to log on.), bộ lọc XPath sẽ trông như sau:
<QueryList>
<Query Id="0" Path="Security">
<Select Path="Security">*[System[(EventID=4624 or EventID=4625)]]</Select>
<Select Path="Security">* [EventData[Data[@Name='subjectUsername']='username']]</Select>
</Query>
</QueryList>